平台泄露个人信息的法律责任

2023年，平台某知名社交平台因未加密存储用户手机号，泄露信息导致500万条数据被爬取并在暗网叫卖。个人平台被罚款8000万元，律责但用户拿到的平台赔偿人均不到两块钱。这个数字对比本身就说明了很多问题——法律对平台的泄露信息威慑力，和用户实际得到的个人救济，中间隔着一道不小的律责鸿沟。

平台泄露个人信息，平台首先面对的泄露信息是行政责任。《个人信息保护法》第66条规定得很清楚：情节严重的个人，可处五千万元以下或者上一年度营业额百分之五以下罚款，律责还可以责令暂停相关业务、平台停业整顿甚至吊销营业执照。泄露信息听起来够狠。个人但实际操作中，“情节严重”的认定标准并不统一。有的平台泄露上亿条数据，罚款几百万；有的小平台泄露几十万条，反而被顶格处罚。这种不确定性，让大平台有恃无恐——违法成本相对其营收，九牛一毛。

刑事责任方面，《刑法》第253条之一规定了侵犯公民个人信息罪。单位犯罪的，对直接负责的主管人员和其他直接责任人员定罪处罚。2021年某快递公司内部员工倒卖面单信息，涉案人员被判刑，公司被罚。但真正走到刑事追责的，往往是内部人员作案或者造成极端严重后果的案例。纯粹因为技术防护不到位导致外部入侵泄露的，平台高管个人被追刑责的极少。这传递出一个信号：只要不是“内鬼”，平台的安全投入不足更多是“公司责任”，个人风险有限。

民事赔偿是用户最直接的维权路径，也是最难走通的一条。按照《民法典》第1038条，信息处理者泄露个人信息造成损害的，应当承担侵权责任。但“损害”怎么证明？手机号泄露后接到几个骚扰电话，算多少损失？法院通常要求用户举证实际损害，而个人信息泄露的损害往往是潜在的、长期的、难以量化的。北京互联网法院2022年的一份判决中，用户因平台泄露其姓名和手机号起诉，法院认定平台侵权，但只判了精神损害抚慰金800元。律师费都不够。

更麻烦的是因果关系。平台说“泄露是黑客干的，我们也是受害者”，用户要证明“就是你的系统漏洞导致我的信息被泄露”，技术上极其困难。举证责任倒置在个人信息侵权领域还没有普遍适用。消费者权益保护法第44条虽然规定了网络交易平台的责任，但前提是“不能提供销售者真实信息”，和纯粹的数据泄露是两码事。

我注意到一个现象：每次大规模数据泄露后，集体诉讼的声音都会出现，但真正落地的极少。原因在于个人信息侵权案件的单个损害太小，诉讼成本太高，律师没有动力。检察院公益诉讼倒是可以介入，但2021年至今，个人信息保护公益诉讼案件数量虽然增长，主要集中在APP违规收集信息、人脸识别滥用等领域，针对平台泄露的公益诉讼判例仍然稀缺。

平台的安全投入，本质上是个成本收益计算。如果泄露后的罚款、赔偿、声誉损失加起来，仍然低于加固安全系统的投入，那平台就会选择“赌一把”。要改变这个局面，行政罚款需要和平台营收挂钩并严格执行，民事赔偿需要引入惩罚性赔偿机制，举证责任需要向用户倾斜。否则，每次泄露事件后，用户能做的，也就是改个密码，然后继续用。